Dix géants ont cédé, un onzième sous enquête: la négociation a ses limites
Le 8 octobre 2026, l’autorité britannique de protection des données a publié un bilan rare: dix développeurs de modèles de fondation ont modifié ou promis de modifier leurs pratiques. Le même jour, elle ouvrait une consultation sur l’IA agentique, un terrain où les incidents précèdent les règles. Ce contraste oblige à relire la voie européenne, plus normative, moins négociée.
Par Sabri Skhiri ·
Un programme de supervision, pas une simple enquête
Le 8 octobre 2026, l’Information Commissioner’s Office a publié le bilan de deux ans de supervision de onze développeurs de modèles de fondation. Dix d’entre eux, Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI et Stability AI, ont modifié ou se sont engagés à modifier leurs pratiques sur au moins un point du RGPD britannique [1]. Les contrôles ont porté sur plusieurs points du RGPD britannique: l’intérêt légitime comme base légale, le traitement de données sensibles, le droit d’opposition et l’information des personnes. Le onzième, X.AI, ne figure plus dans le programme. L’ICO a suspendu ses échanges après l’ouverture, le 3 février 2026, d’enquêtes formelles visant X Internet Unlimited Company et X.AI LLC à propos du traitement de données par Grok et de la production d’images et de vidéos sexualisées [1]. L’enquête est toujours en cours.
Le point le plus instructif concerne les analyses d’intérêt légitime. Selon le rapport, plusieurs entreprises n’identifiaient pas un intérêt précis pour chaque type de données à chaque étape du développement. Les formules « entraîner nos modèles » ou « bénéficier à l’humanité » sont jugées peu susceptibles de suffire sans précision ni justification [1]. En pratique, le régulateur a exigé des démonstrations de nécessité et des preuves d’efficacité des garanties, pas des déclarations d’intention.
Des engagements concrets, mais un suivi à confirmer
Les changements sont hétérogènes. Anthropic a mis à jour sa politique de confidentialité pour les non-utilisateurs et son analyse d’intérêt légitime. OpenAI a renforcé les preuves d’efficacité de ses garanties. DeepSeek a produit une analyse et devra expliquer quelles données personnelles de tiers entrent dans ses jeux d’entraînement. Google, Microsoft, Stability AI et Apple ont chacun ajusté documentation, finalités ou publication des sources [1]. Côté information du public, Apple, Cohere et OpenAI ont déjà modifié leurs pages, avec des notices dédiées à l’entraînement et des précisions sur la conservation et les transferts. Sept autres développeurs se sont engagés à mettre en œuvre tout ou partie d’une liste de mesures, sans que le rapport précise qui a retenu quoi ni à quelle échéance [1]. L’ICO indique suivre l’avancement. Cela situe la portée réelle du programme: des engagements fermes sur certains points, un calendrier encore flou sur d’autres.
Pour les personnes, quelques mécanismes existent déjà. Meta propose un formulaire distinct pour les non-utilisateurs, avec capture d’écran et invite. Apple documente le blocage de son robot d’indexation et permet de signaler des pages à exclure. OpenAI a publié des consignes de retrait des données personnelles dans les réponses de ChatGPT [1].
L’IA agentique: la consultation arrive après les incidents
Le même jour, l’ICO a ouvert une consultation de six semaines, jusqu’au 20 novembre 2026, sur l’IA agentique. Le régulateur a confirmé avoir interrogé OpenAI, Anthropic, Meta et l’AI Security Institute après des signalements de comportements préoccupants en test et en déploiement: contournement de garde-fous, canaux de communication non autorisés, accès à des systèmes externes [2]. Richard Nevinson, directeur de la régulation technologique à l’ICO, a résumé la position: « Le fait que les agents agissent de manière autonome n’excuse pas la non-conformité. » La consultation porte sur la sécurité, la transparence, la responsabilité, la décision automatisée, l’équité et la licéité des données [2].
Le calendrier a quelque chose de révélateur. Les déploiements d’agents sont déjà suffisamment nombreux pour produire des incidents; la régulation, elle, en est au stade de l’appel à contributions. Les incidents d’agents autonomes qui contournent leurs consignes ou accèdent à des ressources non prévues se multiplient [3]. Ce n’est pas un argument contre la régulation, c’est un signal architectural: un système capable d’agir avec une supervision humaine limitée ne peut pas être gouverné uniquement par des règles ex post.
Le fossé de gouvernance ne se limite pas aux modèles
Les difficultés ne concernent pas seulement les développeurs. Une étude ABBYY citée fin 2026 montre que 44 % des dirigeants français estiment que l’IA est adoptée plus vite que leur organisation ne peut la gouverner. Sur la responsabilité en cas de résultat nuisible, les réponses se dispersent: 24 % pour un partage entre organisation et fournisseur, 26 % pour l’organisation utilisatrice, 21 % pour le fournisseur, 16 % pour l’utilisateur final, 12 % pour les régulateurs [4]. Aucune majorité ne se dégage. Et la connaissance du responsable de l’IA décroît de 88 % chez les cadres supérieurs à 73 % chez les employés [4]. Ce fossé a une traduction opérationnelle: en cas d’incident, la remontée est plus lente, la correction plus incertaine.
Deux voies de régulation, deux rythmes
Le contraste est net avec l’Union européenne. Depuis le 2 août 2026, les obligations de transparence de l’AI Act s’appliquent: étiquetage des contenus générés, information lors d’une interaction avec un système d’IA, marquage lisible par machine. Les amendes peuvent atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial [5]. Le règlement européen a aussi été modifié par le règlement 2026/1744, qui a ajusté les dates des systèmes à haut risque, ajouté des pratiques interdites et renforcé les pouvoirs du Bureau de l’IA [6]. L’Europe avance par obligations générales et sanctions; le Royaume-Uni, par supervision ciblée, engagements nommés et publication des écarts. Les deux approches ne sont pas équivalentes. La voie britannique produit des corrections plus rapides et plus granulaires, mais dépend de la capacité du régulateur à suivre les engagements. La voie européenne a une portée normative plus large, mais son application est plus lente et plus sensible aux compromis de calendrier.
Pour un CTO ou un CDO actif sur les deux marchés, la conclusion n’est pas de choisir un cadre, mais d’architecturer la conformité comme une propriété du système. Une analyse d’intérêt légitime doit être un élément versionné, relié aux jeux de données et aux étapes d’entraînement. Les garde-fous d’un agent autonome doivent être testés comme le reste du code, avec journalisation, droits d’accès, supervision humaine et procédure de coupure. La gouvernance n’est pas un simple contrôle a posteriori, mais une condition préalable à la mise en production et un suivi continu.
